アタックサーフェスマネジメント（ASM）とは：外部から見える自社資産の把握

攻撃者が狙うのは、守る側が把握していない資産です。台帳に載っていないサブドメインや、公開設定のまま忘れられたストレージには、守りを当てる手がかりがありません。

アタックサーフェスマネジメント（ASM）は、攻撃者に見えているものを、こちらも同じ目線で数え上げて追い続ける取り組みです。

01 / 外から見えるものを、種類ごとに数え上げる

ドメインを起点に、そこからたどれる資産を機械的に集めます。集めた資産は6つの種類に分かれ、そこへ検出した所見が加わる形です。

図1：集める資産の種類と、そこへ加わる所見

深掘り：ドメインそのものの情報は別枠

登録情報（レジストラ、有効期限、ネームサーバー）は、資産の数え上げとは別に、ドメインごとの情報として画面に出ます。期限切れの見落としは実害に直結するため、資産の一覧とは分けた扱いにしてあります。

台帳が古くなるのは、担当者が怠けたからではありません。増える経路が複数あって、どれも IT 部門を通らずに資産を作れるからです。

図2：台帳から漏れる資産が生まれる 3 つの経路

深掘り：どの経路も、作った側に悪意はない

部門がクラウドサービスを契約するのも、開発チームが検証用のサブドメインを立てるのも、仕事を前に進めるための行動です。詳しくはシャドーIT の解説にあります。合併や買収で引き継いだドメインも、引き継ぎの手続きから漏れただけで、誰かが隠したわけではありません。

いきなり全部を探すのではなく、手元にある台帳を種にして広げます。探索には起点が要るため、最初のステップだけは人の仕事です。

図3：既知の資産を種にして広げる 4 つのステップ

深掘り：2 つ目のステップで、たいてい驚きが出る

既知のドメインを起点に探索すると、把握していなかったサブドメインやポートがまとまって出てきます。導入時によくある反応で、そこが ASM の効き目でもあるでしょう。見つけた資産の順番付けに使うのはTER バンドです。

資産は増え、設定は変わり、脆弱性は日々公開されます。同じ資産でも、昨日は問題が無く今日は問題がある、という状態が普通です。

図4：追うのは時点の状態ではなく、変化のほう

深掘り：変化を時系列で残す

いつ何が変わったかを残しておくと、増えたものと消えたものを後から突き合わせられます。設定変更の直後に所見が増えていれば、変更が原因だったと当たりを付けられるはずです。

ASM が答えるのは「何があるか」までです。どれから手を付けるかは、資産の重さと脆弱性の重さを掛け合わせて別に決めます。

図5：ASM が受け持つのは発見までで、順番は次の工程で決まる

自社のドメインから何が見つかるかは、14日間無料で試せます。

付録：攻撃対象領域に含まれるものと、PentaTrail の受け持ち

表1：外部から見える資産として扱うもの

種類	具体的に含まれるもの
ドメイン・サブドメイン	本番だけでなく、開発・検証環境も含む
IP アドレス・ポート	公開されているサービスや API
Web アプリケーション	管理画面、API のエンドポイント、フォーム
クラウドリソース	S3 バケット、Azure Blob、GCS などのストレージ
SSL/TLS 証明書	期限切れや設定の不備
使用技術	CMS、フレームワーク、ライブラリの版
WHOIS 情報	ドメイン登録情報の公開状況

表2：PentaTrail での受け持ち

機能	中身
資産の発見	ホスト、IP、ポート・サービス、使用技術、クラウドバケット、URL の6種類
継続的なスキャン	定期的な自動スキャンで変化を検知
セキュリティスコア	総合スコア（400 点満点）で攻撃面の状態を表す
変更タイムライン	いつ何が変わったかを時系列で追う

順番付けはTER バンドが、悪用できるかどうかの能動的な確認は AI ディープスキャンの担当です。全体像はCTEM とはにあります。

資産の種類は、2026年8月17日に PentaTrail のダッシュボードの実装を参照して確認したものです。